GDPR Perché è così importante per la pubblica amministrazione
Transcript of GDPR Perché è così importante per la pubblica amministrazione
GDPR
Perché è così importante per la
pubblica amministrazione
Novità e operatività
Relatore
Dott.ssa Caterina Bova
Regolamento europeo concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali e
alla libera circolazione dei dati n. 2016/67
• 14 aprile 2016: approvazione del Parlamento europeo in
via definitiva
• 4 maggio 2016: pubblicato sulla G.U. dell’Unione
Europea
• 24 maggio 2016: entrata in vigore
• 25 maggio 2018: direttamente applicabile negli Stati
Il Regolamento europeo 2016/679
• Non necessita di trasposizione
• È un unico testo per tutti gli Stati membri dell’UE
• Rimane un potere legislativo limitato agli Stati nazionali
• Abroga la direttiva europea 95/46/CE
• Non abroga il D.Lgs. n. 196 del 2003
• Non abroga i provvedimenti del Garante
Il vero cambiamento sta nel fatto che si passa da una serie di norme da rispettare ad una serie di principi ispiratori della
materia
• Art. 8 par. 1 della Carta dei diritti fondamentali dell’Unione Europea: la protezione dei dati personali è un diritto fondamentale.
• Considerando 4: Il diritto alla protezione dei dati non è una prerogativa assoluta ma va considerato alla luce della sua funzione sociale e contemperato con altri diritti fondamentali in ossequio al principio di proporzionalità
Il Regolamento europeo 2016/679(Considerando 8)
Ove il regolamento preveda specificazioni o limitazioni delle
sue norme ad opera del diritto degli Stati membri, gli Stati
membri possono, nella misura necessaria per la coerenza e
per rendere le disposizioni nazionali comprensibili alle
persone, integrare elementi del regolamento nel proprio
diritto nazionale.
Il Regolamento europeo 2016/679
(Considerando 10)
Al fine di assicurare un livello coerente e elevato di protezione
delle persone e rimuovere gli ostacoli alla circolazione dei dati
personali, il livello di protezione dei diritti e delle libertà
delle persone riguardo al trattamento dei dati personali deve
essere equivalente in tutti gli Stati membri!
Per quanto riguarda il trattamento dei dati personali per
l’adempimento di un obbligo legale, per l’esecuzione di un
compito di interesse pubblico o connesso all’esercizio di
pubblici poteri, gli Stati membri dovrebbero rimanere liberi di
mantenere o introdurre norme nazionali al fine di specificare
ulteriormente l’applicazione delle norme del regolamento
Il Regolamento europeo 2016/679
Detta la DISCIPLINA GENERALE e le Normative nazionali
intervengono – se necessario – a definire la disciplina
speciale e di settore.
Con il Regolamento si passa da un approccio c.d. formalistico
ad un approccio di sostanziale responsabilizzazione ovvero
la c.d. Accountability!
Il Regolamento europeo 2016/679:
articolo 1
• Il Regolamento stabilisce norme relative alla protezione delle
persone fisiche con riguardo al trattamento dei dati personali,
nonché norme relative alla libera circolazione di tali dati.
• Il Regolamento protegge i diritti e le libertà fondamentali delle
persone fisiche, in particolare il diritto alla protezione dei dati
personali.
• La libera circolazione dei dati personali nell’Unione non può
essere limitata né vietata per motivi attinenti alla protezione
delle persone fisiche con riguardo al trattamento dei dati
personali.
Il Regolamento europeo 2016/679 si applica:
• al trattamento di dati personali di persone fisiche
• al trattamento interamente o parzialmente automatizzato dei dati personali (ovvero con o senza l’ausilio di processi automatizzati)
• al trattamento non automatizzato di dati contenuti in archivio o destinati a confluirvi (senza ausili)
Il Regolamento non disciplina il trattamento dei dati relativi alle persone giuridiche, come le imprese
dotate di personalità giuridica!
SI APPLICA ai trattamenti:
effettuati da un Titolare o Responsabile stabilito nell’UE,
anche se il trattamento è effettuato fuori dall’UE
effettuati da un Titolare o Responsabile non stabilito
nell’UE se il trattamento ha ad oggetto dati personali di
interessati che si trovano nell’UE
effettuati da un Titolare stabilito in uno Stato extra UE
soggetto al diritto di uno Stato UE in virtù del diritto
internazionale
NON SI APPLICA :
ai trattamenti effettuati da una persona fisica per
l’esercizio di attività a carattere esclusivamente
personale o domestico.
ai dati anonimi.
NON SI APPLICA ai trattamenti:
per attività che non rientrano nel diritto dell’Unione (es.
sicurezza nazionale)
per attività di speciale rilevanza pubblica (es. politica
estera e di difesa comune)
effettuati da autorità ai fini di prevenzione, accertamento
e repressione reati e ai fini di sicurezza pubblica
Il legislatore italiano…
• Ha adottato il decreto legislativo n. 101 del 10 agosto 2018
contenente le disposizioni per l’adeguamento della normativa
nazionale ai principi del regolamento europeo 2016/679! Il
decreto è stato pubblicato in GU il 4 settembre 2018 ed è
entrato in vigore il 19 settembre 2018.
• La funzione del decreto è quella di armonizzare le norme
enunciate dal nostro legislatore nel Codice in materia di
protezione dei dati personali (d.lgs. n. 196 del 2013) con quelle
introdotte dal Regolamento europeo.
Le principali novità
del nuovo Regolamento europeo
La parola d’ordine da seguire…
• ancor prima di accountability e… di privacy by design e by
default [che costituiscono le parole chiave dell’argomento] è
la TRASPARENZA.
• Effettuare una rigorosa, efficace e trasparente
mappatura di tutti i trattamenti di dati afferenti alla
propria organizzazione, siano essi svolti direttamente
dal Titolare o affidati all’esterno, costituisce, infatti, il
presupposto necessario di ogni azione di assessment.
Le domande degli esperti…
• Come si può garantire una efficace informativa ai sensi degli artt. 13 e 14 del GDPR per gli interessati, se non si conoscono i dettagli dei trattamenti sviluppati in qualità di Titolari? Come si possono rendere effettivi i diritti degli interessati se non si ha un controllo trasparente dei sistemi informativi, dei database, dei sistemi di gestione documentale e degli archivi?
• Come si può effettuare una esauriente analisi dei rischi ai sensi dell’art. 32 del GDPR e implementare adeguate misure di sicurezza se non si è proceduto a verificare attentamente la tipologia di dati trattati e le relative modalità di trattamento?
Le domande degli esperti…
• Come si può verificare un software o svilupparlo disegnandolo
secondo i parametri di protezione delineati dal GDPR se non si
conoscono nel dettaglio la natura e le finalità del trattamento
dei dati e il loro ambito di circolazione?
La premessa è conoscersi in trasparenza.
Solo dopo si può procedere in modo sostanziale e meno formale
rispetto a come abbiamo fatto sino ad oggi.
Fonte: Decreto GDPR. Fare chiarezza (e trasparenza) per uscire dal caos
in www.agendadigitale.eu
Il perché del GDPR – descritto in
sintesi nei successivi 6 punti - sta:
• nell'esigenza di assicurare la "tutela delle persone fisiche con riguardo al trattamento dei dati personali e la libera circolazione di tali dati" e i trattamenti di dati personali, sia nel settore privato che nel settore pubblico.
Fonte:
E. Castellano, Guida in sei punti alla GDPR: cosa cambia sulla privacy per cittadini e imprese, in www.agi.it/economia
1. L'obbligo di nominare un
Data Protection Officer
• Il Regolamento prevede l'obbligo per alcuni soggetti di
nominare un DPO - Data Protection Officer (ovvero il
responsabile della protezione dei dati personali).
• Si tratta di una figura, interna o esterna alla struttura del
titolare, che deve possedere dei requisiti specifici (ad esempio
in termini di esperienza e competenza) e deve occuparsi della
corretta applicazione della normativa, curando con particolare
attenzione la formazione del personale.
1. L'obbligo di nominare un
Data Protection Officer
• Il DPO è obbligatorio quando il trattamento è effettuato da una PA(eccezion fatta per le autorità giurisdizionali) e quando le attività di trattamento consistano nel monitoraggio su larga scala degli interessati oppure determinino il trattamento su larga scala di dati sensibili (dati che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l'appartenenza sindacale, dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona).
• Il Garante Privacy ha chiarito che, anche quando non obbligatoria, la nomina del DPO è comunque sempre consigliata in quanto può rappresentare un valido supporto.
2. La valutazione d'impatto e il
registro dei trattamenti
• Nel caso in cui i trattamenti posti in essere siano particolarmente rischiosi per i diritti e le libertà degli interessati (ad esempio, la videosorveglianza), il titolare è obbligato ad una valutazione preliminare di impatto sulla tutela dei dati (cosiddetta "privacy impact assessment"), con una precisa analisi dei rischi e delle contromisure poste in essere.
• Inoltre, tutte le organizzazioni con più di 250 dipendenti oppure che - indipendentemente dal numero dei dipendenti - pongano in essere trattamenti potenzialmente pericolosi sono tenute all'adozione di un "registro delle attività di trattamento" che contenga, tra le altre informazioni, la descrizione delle misure di sicurezza adottate.
3. Gli obblighi nei confronti
degli utenti
• Gli utenti devono essere informati in modo semplice e chiaro sulle finalità, modalità e ambito del trattamento. Le informative richieste agli utenti (dal form per una newsletter ai moduli per richiedere una fidelity card) devono quindi essere aggiornate, prevedendo alcune informazioni nuove (come la base giuridica del trattamento e il tempo di conservazione dei dati) e semplificando il testo in modo da renderle realmente comprensibili.
• Particolare attenzione è dedicata alla tutela dei minori che - per accedere ai servizi della società dell'informazione (come i social network) - devono avere almeno 16 anni per poter prestare autonomamente il consenso al trattamento.
4. Le misure tecniche da
adoperare
• Ogni titolare del trattamento è tenuto ad adottare misure
tecniche e organizzative sin dal momento della
progettazione oltre che nell'esecuzione del trattamento, che
tutelino i principi di protezione dei dati. Non esiste un
elenco di misure di sicurezza "minime" uguali per tutti.
Spetta a ciascuno decidere e assumersi le responsabilità di
quali siano le contromisure adeguate alla propria realtà
(crittografia, controllo degli accessi, sorveglianza degli
archivi, ecc.).
5. Venire a conoscenza delle
violazioni dei propri dati
• Viene introdotto il diritto degli interessati di venire a conoscenza delle violazioni dei propri dati personali ("data breach"). Questo significa che - nel caso di incidenti di sicurezza relativi ai sistemi utilizzati per il trattamento (come lo smarrimento di una chiavetta Usb, il furto di un fascicolo oppure un attacco informatico) - il titolare del trattamento dovrà organizzarsi per procedere alla notificazione al Garante Privacy senza ritardo (e, comunque, entro le 72 ore). Inoltre, la comunicazione dovrà essere data a tutti gli interessati, se la violazione è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche (ipotesi assai probabile, ad esempio, nel caso dei dati sanitari o dei servizi di posta elettronica o messaggistica).
6. Le sanzioni
• Il sistema sanzionatorio previsto del GDPR è molto più
severo rispetto a quello del Codice Privacy. Le sanzioni
amministrative - che saranno inflitte dal Garante Privacy -
possono arrivare fino a 20 milioni di euro o, se superiore,
fino al 4% del fatturato mondiale totale.
• Il principio che si afferma è che chiunque subisca un danno da
una violazione del GDPR ha il diritto di ottenerne il
risarcimento dal titolare, a meno che quest'ultimo non
dimostri che il danno non gli è alcun modo imputabile.
Il regolamento europeo nel
dettaglio
DATO PERSONALE (art. 4, par. 1):
Qualsiasi informazione riguardante una persona fisica
identificata o identificabile («interessato»).
Si considera identificabile la persona che può essere identifica
direttamente o indirettamente, con particolare riferimento a un
identificativo come il nome, un numero di identificazione, dati
relativi all’ubicazione, un identificativo on line o a uno o più
elementi caratteristici della sua identità fisica, fisiologica,
genetica, psichica, economica, culturale o sociale.
Categorie particolari di dati personali
(art. 9, par. 1):
Dati personali che rivelino l’origine razziale o etnica, le
opinioni politiche, le convinzioni religiose o filosofiche, o
l’appartenenza sindacale, nonché trattare dati genetici,
dati biometrici intesi a identificare in modo univoco una
persona fisica, dati relativi alla salute o alla vita sessuale o
all’orientamento sessuale della persona.
Non vi è la definizione di
DATI SENSIBILI E GIUDIZIARI
Mentre è presente la definizione di
CATEGORIE PARTICOLARI DI DATI
(art. 4, par. 1)
Dati genetici
Dati biometrici
Dati relativi alla salute = dati sanitari (Considerando 35)
Dati relativi a condanne penali e reati
(art. 10, par. 1):
• Il trattamento dei dati personali relativi alle condanne e ai reati
o a connesse misure di sicurezza deve avvenire soltanto sotto il
controllo dell’autorità pubblica o se il trattamento è autorizzato
dal diritto dell’Unione o degli Stati membri che preveda
garanzie appropriate per i diritti e le libertà degli interessati.
Un eventuale registro completo delle condanne penali deve
essere tenuto soltanto sotto il controllo dell’autorità pubblica.
DEFINIZIONI
PROFILAZIONE: qualsiasi forma di trattamento automatizzato
eseguito su dati personali con lo scopo di valutare aspetti personali di
una persona fisica (rendimento professionale, situazione economia,
preferenze personali, ubicazione e spostamenti).
PSEUDONIMIZZAZIONE: il trattamento di dati personali in modo
che non possano più essere attribuiti ad un interessato senza l’utilizzo
di informazioni aggiuntive, conservate separatamente e soggette a
misure tecniche e organizzative specifiche.
DEFINIZIONI
RESPONSABILE DEL TRATTAMENTO: la
persona fisica o giuridica che tratta dati personali
per conto del titolare del trattamento.
DEFINIZIONI
CONSENSO: qualsiasi manifestazione di volontà
libera, specifica, informata e inequivocabile
dell’interessato, con la quale lo stesso manifesta il
proprio assenso, mediante dichiarazione o azione
positiva inequivocabile
Non vale il silenzio assenso
Il CONSENSO
• È svincolato dall’informativa e consiste nella
manifestazione libera, specifica, informata e
inequivocabile dell’interessato
• Non è ammesso il consenso tacito o presunto (no a
caselle pre-spuntate su un modulo)
• Deve essere documentato
• Deve essere manifestato attraverso "dichiarazione o
azione positiva inequivocabile”
• È revocabile, senza che questo pregiudichi la liceità
dei precedenti trattamenti
Il CONSENSO (Artt. 7 e 8)
• Per i dati "sensibili” e per la profilazione (altrimenti
vietata) deve essere «esplicito»
• Non è più richiesta l’autorizzazione del Garante;
• Non è necessariamente "documentato per iscritto" e
non è richiesta la "forma scritta", ma il titolare deve
essere in grado di dimostrare che l'interessato ha
prestato il consenso a uno specifico trattamento
• Il consenso dei minori è valido a partire dai 16 anni;
prima di tale età occorre raccogliere il consenso dei
genitori o di chi ne fa le veci.
I Principi applicabili al trattamento:
• I dati personali devono essere trattati in modo lecito,
corretto e trasparente nei confronti dell’interessato (liceità,
correttezza e trasparenza).
• Sono raccolti per finalità determinate, esplicite e legittime, e
successivamente trattati in modo che non sia incompatibile
con tali finalità (limitazione della finalità).
• Sono conservati in una forma che consenta l’identificazione
degli interessati per un arco di tempo non superiore al
conseguimento delle finalità per le quali sono trattati.
I Principi applicabili al trattamento
• I dati personali devono essere adeguati, pertinenti e limitati a quanto
necessario rispetto alle finalità per le quali sono trattati (minimizzazione
dei dati);
• I dati personali devono essere esatti e, se necessario, aggiornati; devono
essere adottate tutte le misure ragionevoli per cancellare o rettificare
tempestivamente i dati inesatti rispetto alle finalità per le quali sono
trattati («esattezza»);
• I dati personali devono essere trattati in maniera da garantire un'adeguata
sicurezza dei dati personali, compresa la protezione, mediante misure
tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti
e dalla perdita, dalla distruzione o dal danno accidentali («integrità e
riservatezza»).
E ancora…..
Principio di accountability (o di
responsabilizzazione):
il titolare del trattamento è competente per
il rispetto dei principi previsti dal GDPR e
in grado di comprovarlo
Liceità del trattamento
Art. 6: ogni trattamento deve trovare fondamento in
un'idonea base giuridica!
• trattamento necessario per la salvaguardia di interessi vitali della persona interessata o di terzi;
• trattamento necessario per adempiere a obblighi contrattuali o adempimenti legali;
• trattamento necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri;
• trattamento necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi cui i dati vengono comunicati.
L’interessato deve avere espresso il proprio consenso.
Considerando 39:
Il principio della trasparenza
impone che le informazioni e le comunicazioni relative al trattamento di tali
dati personali siano facilmente accessibili e comprensibili e che sia
utilizzato un linguaggio semplice e chiaro.
Tale principio riguarda, in particolare, l'informazione degli interessati
sull'identità del titolare del trattamento e sulle finalità del trattamento e
ulteriori informazioni per assicurare un trattamento corretto e trasparente con
riguardo alle persone fisiche interessate e ai loro diritti di ottenere conferma e
comunicazione di un trattamento di dati personali che le riguardano. È
opportuno che le persone fisiche siano sensibilizzate ai rischi, alle norme, alle
garanzie e ai diritti relativi al trattamento dei dati personali, nonché alle
modalità di esercizio dei loro diritti relativi a tale trattamento.
Principio di Trasparenza (art. 12, par. 1)
Il titolare del trattamento adotta misure appropriate per fornire
all'interessato tutte le informazioni di cui agli articoli 13 e 14 e le
comunicazioni di cui agli articoli da 15 a 22 e all'articolo 34
relative al trattamento in forma concisa, trasparente, intelligibile
e facilmente accessibile, con un linguaggio semplice e chiaro, in
particolare nel caso di informazioni destinate specificamente ai
minori.
Le informazioni sono fornite per iscritto o con altri mezzi, anche,
se del caso, con mezzi elettronici.
Se richiesto dall'interessato, le informazioni possono essere fornite
oralmente, purché sia comprovata con altri mezzi l'identità
dell'interessato.
I diritti dell’interessato in materia di
trattamento dei dati personali
Le finalità del trattamento dei dati personali devono essere esplicite e
legittime e precisate al momento della raccolta di detti dati personali.
I dati personali devono essere adeguati, pertinenti e limitati a quanto
necessario per le finalità del loro trattamento.
Il periodo di conservazione dei dati personali deve essere limitato al
minimo necessario. I dati personali devono essere trattati solo se la finalità
del trattamento non è ragionevolmente conseguibile con altri mezzi.
A tal fine è necessario stabilire un termine per la cancellazione o per la
verifica periodica.
È opportuno adottare tutte le misure ragionevoli affinché i dati personali
inesatti siano rettificati o cancellati. I dati personali devono essere trattati
in modo da garantirne un'adeguata sicurezza e riservatezza, anche per
impedire l'accesso o l'utilizzo non autorizzato dei dati personali e delle
attrezzature impiegate per il trattamento.
La nuova Informativa (art. 13 e 14 Regolamento)
Tipologie di informativa
• Informativa diretta: in occasione della raccolta diretta
dei dati presso l’interessato
• Informativa ulteriore: in occasione di un mutamento
della finalità rispetto ai dati già raccolti (trattamento per
finalità diverse o ulteriori)
Informativa (art. 13 e 14 Regolamento)
Tipologie di informativa
• Informativa successiva: in occasione della raccolta da altro
titolare
NB: non è dovuta se:
• l’ottenimento o la comunicazione sono espressamente
previsti dal diritto dell’Unione o dello Stato membro
• comunicare le informazioni risulta impossibile o implica
uno sforzo sproporzionato
Informativa (art. 13 e 14 Regolamento)
I contenuti dell'informativa sono più ampi e deve specificare:
• i dati di contatto del Titolare, del Responsabile e del DPO;
• finalità e base giuridica del trattamento;
• destinatari o categorie di destinatari;
• specificazione degli interessi legittimi perseguiti dal Titolare o da Terzi;
• eventuale trasferimento dei dati personali in Paesi terzi e nel casoattraverso quali strumenti;
• periodo di conservazione dei dati o i criteri seguiti per stabilirlo;
• diritti dell’interessato, quale per es. il diritto di proporre reclamo alGarante per la protezione dei dati personali;
• natura del conferimento e conseguenze in caso di rifiuto
L’Informativa deve essere:
Artt. 13 e 14:
• forma concisa, trasparente, intelligibile per l'interessato e
facilmente accessibile
• linguaggio chiaro e semplice e per i minori occorre prevedere
informative idonee
• data, in linea di principio, per iscritto e preferibilmente in
formato elettronico
• può essere fornita anche oralmente
Diritti degli interessati in materia di tutela dei
dati:
Diritti di accesso Diritto di cancellazione (diritto all’oblio) Diritto di limitazione del trattamento Diritto alla portabilità dei dati
Diritto di accesso (art. 15)
• Il diritto di accesso prevede in ogni caso il diritto di
ricevere una copia dei dati personali oggetto di trattamento.
• Fra le informazioni che il titolare deve fornire occorre
indicare il periodo di conservazione previsto o, se non è
possibile, i criteri utilizzati per definire tale periodo,
nonché le garanzie applicate in caso di trasferimento dei
dati verso Paesi terzi
Diritto di rettifica (art. 16)
L'interessato ha il diritto di ottenere dal titolare del
trattamento la rettifica dei dati personali inesatti che lo
riguardano senza ingiustificato ritardo. Tenuto conto delle
finalità del trattamento, l'interessato ha il diritto di ottenere
l'integrazione dei dati personali incompleti, anche fornendo
una dichiarazione integrativa.
Diritto di cancellazione («Diritto all’oblio»)
Il diritto cosiddetto "all'oblio" si configura come un diritto
alla cancellazione dei propri dati personali in forma
rafforzata. I titolari (se hanno "reso pubblici" i dati personali
dell'interessato: ad esempio, pubblicandoli su un sito web)
hanno l’obbligo di informare della richiesta di cancellazione
altri titolari che trattano i dati personali cancellati, compresi
"qualsiasi link, copia o riproduzione
Diritto di cancellazione («diritto all’oblio»)
Non si applica se il trattamento è necessario
per l’esecuzione di un compito di interesse
pubblico o connesso all’esercizio di pubblici
poteri di cui è investito il titolare del
trattamento
Diritto di limitazione di trattamento (art. 18):
1. L'interessato ha il diritto di ottenere dal titolare del trattamento la limitazione del
trattamento quando ricorre una delle seguenti ipotesi:
a) l'interessato contesta l'esattezza dei dati personali, per il periodo necessario al titolare del trattamento per
verificare l'esattezza di tali dati personali;
b) il trattamento è illecito e l'interessato si oppone alla cancellazione dei dati personali e chiede invece che ne
sia limitato l'utilizzo;
c) benché il titolare del trattamento non ne abbia più bisogno ai fini del trattamento, i dati personali sono
necessari all'interessato per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria;
d) l'interessato si è opposto al trattamento ai sensi dell'articolo 21, paragrafo 1, in attesa della verifica in
merito all'eventuale prevalenza dei motivi legittimi del titolare del trattamento rispetto a quelli dell'interessato.
2. Se il trattamento è limitato a norma del paragrafo 1, tali dati personali sono trattati,
salvo che per la conservazione, soltanto con il consenso dell'interessato o per
l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria oppure per tutelare
i diritti di un'altra persona fisica o giuridica o per motivi di interesse pubblico rilevante
dell'Unione o di uno Stato membro.
3. L'interessato che ha ottenuto la limitazione del trattamento a norma del paragrafo 1 è
informato dal titolare del trattamento prima che detta limitazione sia revocata.
Cosa cambia…
Si tratta di un diritto diverso e più esteso rispetto al «blocco» del
trattamento di cui all’art. 7, co. 3, lettera a) del Codice:
in particolare, è esercitabile non solo in caso di violazione dei
presupposti di liceità del trattamento (quale alternativa alla
cancellazione dei dati stessi), bensì anche se l’interessato chiede
la rettifica dei dati (in attesa di tale rettifica da parte del titolare) o
si oppone al loro trattamento (in attesa di valutazione da parte del
titolare).
Esclusa la conservazione, ogni altro trattamento del dato di cui si
chiede la limitazione è vietato.
Nuovo diritto alla portabilità dei dati (Art. 20)
1. L'interessato ha il diritto di ricevere in un formato strutturato, di uso comune e
leggibile da dispositivo automatico i dati personali che lo riguardano forniti a un
titolare del trattamento e ha il diritto di trasmettere tali dati a un altro titolare del
trattamento senza impedimenti da parte del titolare del trattamento cui li ha forniti
qualora:
a) il trattamento si basi sul consenso ai sensi dell'articolo 6, paragrafo 1, lettera a), o dell'articolo 9,
paragrafo 2, lettera a), o su un contratto ai sensi dell'articolo 6, paragrafo 1, lettera b);
b) il trattamento sia effettuato con mezzi automatizzati.
2. […]
3. […]. Tale diritto non si applica al trattamento necessario per l'esecuzione di un
compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è
investito il titolare del trattamento. [Dunque, NON si applica alla PA]
4. Il diritto di cui al paragrafo 1 non deve ledere i diritti e le libertà altrui.
Modalità di esercizio dei diritti
• Il termine per la risposta all'interessato (per tutti i diritti) è 1
mese, estendibili fino a 3 mesi, in casi di particolare complessità;
• Il Titolare, valutata la complessità, deve dare riscontro
all'interessato entro 1 mese anche in caso di diniego.
• Il Titolare deve stabilire l'ammontare dell'eventuale contributo da
chiedere all'interessato, ma soltanto se si tratta di richieste
manifestamente infondate o eccessive ovvero se richieste più
copie
Modalità di esercizio dei diritti
• Il riscontro all'interessato di regola deve avvenire in formascritta anche attraverso strumenti elettronici che nefavoriscano l'accessibilità.
• La risposta orale è consentita solo se richiestadall’interessato
• La risposta deve essere concisa, trasparente e facilmenteaccessibile. Il linguaggio usato deve essere semplice echiaro.
I soggetti del trattamento nel GDPR
I soggetti della privacy nel
Codice
• Titolare del trattamento (e
co-titolare)
• Responsabile del
trattamento (e sub-
responsabile).
• Incaricato del trattamento.
I soggetti della privacy nel
GDPR
• Titolare del trattamento
• Responsabile del
trattamento (Obblighi più
stringenti rispetto al Codice).
• Non è espressamente
previsto ma è chiunque agisca
sotto l’autorità del Titolare o
del Responsabile.
la persona fisica o giuridica, l'autorità pubblica, il servizio o altro
organismo che, singolarmente o insieme ad altri, determina le
finalità e i mezzi del trattamento di dati personali;
quando le finalità e i mezzi di tale trattamento sono determinati dal
diritto dell'Unione o degli Stati membri, il titolare del trattamento o i
criteri specifici applicabili alla sua designazione possono essere
stabiliti dal diritto dell'Unione o degli Stati membri. (Considerando
74).
Il Titolare del trattamento è
(Art. 4):
Il responsabile del trattamento
Art. 4: è la persona fisica o giuridica, l'autorità pubblica, il servizio o altro
organismo che tratta dati personali per conto del titolare del
trattamento. La sua nomina è obbligatoria e documentata da un contratto.
Art. 28, par. 1: Qualora un trattamento debba essere effettuato per conto del
titolare del trattamento, quest'ultimo ricorre unicamente a responsabili del
trattamento che presentino garanzie sufficienti per mettere in atto misure
tecniche e organizzative adeguate in modo tale che il trattamento soddisfi
i requisiti del presente regolamento e garantisca la tutela dei diritti
dell'interessato.
Art. 28, par. 3: I trattamenti da parte di un responsabile del trattamento sono
disciplinati da un contratto o da altro atto giuridico a norma del diritto
dell'Unione o degli Stati membri, che vincoli il responsabile del trattamento
al titolare del trattamento e che stipuli la materia disciplinata e la durata del
trattamento, la natura e la finalità del trattamento, il tipo di dati personali e
le categorie di interessati, gli obblighi e i diritti del titolare del trattamento.
Art. 28, par. 3:
Il contratto o altro atto giuridico prevede, in particolare, che il responsabile deltrattamento:
• Tratti i dati personali solo su istruzione documentata del titolare del trattamento
• Garantisca che le persone autorizzate al trattamento dei dati personali si sianoimpegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza
• Adotti le misure di sicurezza
• Rispetti i limiti previsti per la nomina dei sub responsabili
• Assista il titolare del trattamento in relazione all’esercizio dei diritti degliinteressati
• Cancelli o restituisca al titolare tutti i dati personali dopo che è terminata laprestazione dei servizi relativi al trattamento e cancelli le copie esistenti
• Metta a disposizione del titolare del trattamento tutte le informazioni necessarie perdimostrare il rispetto degli obblighi di legge e consentire e contribuire alle attivitàdi revisione, comprese le ispezioni, realizzati dal titolare del trattamento o da unaltro soggetto da questi incaricato
Titolare e Responsabile del trattamento
Art. 24:
Tenuto conto della natura, dell’ambito di
applicazione, del contesto e delle finalità del
trattamento, nonché dei rischi aventi probabilità e
gravità diverse, il titolare del trattamento mette in
atto misure tecniche e organizzative adeguate per
garantire e essere in grado di dimostrare che il
trattamento è effettuato conformemente al
Regolamento.
L’incaricato del trattamento
• Non viene espressamente disciplinato dal
Regolamento.
• Sono i soggetti che agiscono sotto l’autorità del
titolare o del responsabile del trattamento e che
trattano dati personali.
• Sono sottoposti a obblighi di istruzione e formazione
(secondo le prossime indicazioni del Garante).
Si tratta di una figura centrale nell’impianto
applicativo della norma
Responsabile della protezione dei
dati
Data protection officer (DPO)
Il Responsabile della protezione dei dati (DPO)
È il soggetto che assiste il Titolare in merito al rispetto degli
obblighi Privacy e all’implementazione delle policy interne
E’ designato in funzione delle qualità professionali, in
particolare della conoscenza specialistica della normativa e
delle prassi in materia di protezione dei dati e della capacità di
assolvere i compiti;
È figura apicale, assolutamente diversa quanto a ruolo e
funzioni dal semplice Responsabile del trattamento;
Può essere un dipendente del Titolare del trattamento o del
Responsabile del trattamento oppure un consulente esterno che
assolve i suoi compiti in base a un contratto di servizi. I dati
del contatto del DPO vanno comunque comunicati al Garante
privacy e resi pubblici.
Nomina DPO obbligatoria nei seguenti casi:
il trattamento è effettuato da un'autorità pubblica o da un
organismo pubblico, eccettuate le autorità giurisdizionali
quando esercitano le loro funzioni giurisdizionali;
le attività principali del titolare del trattamento o del
responsabile del trattamento consistono in trattamenti che,
per loro natura, ambito di applicazione e/o finalità,
richiedono il monitoraggio regolare e sistematico degli
interessati su larga scala;
le attività principali del titolare del trattamento o del
responsabile del trattamento consistono nel trattamento, su
larga scala, di categorie particolari di dati personali (ex dati
sensibili) o di dati relativi a condanne penali e a reati.
Responsabile della protezione dei dati
Qualora il titolare del trattamento o il responsabile del
trattamento sia un'autorità pubblica o un organismo pubblico,
un unico responsabile della protezione dei dati può essere
designato per più autorità pubbliche o organismi pubblici,
tenuto conto della loro struttura organizzativa e dimensione
Responsabile della protezione dei dati
E’ tempestivamente e adeguatamente coinvolto in tutte le
questioni riguardanti la protezione dei dati personali.
Dispone delle risorse (umane e finanziarie) necessarie per
assolvere tali compiti e accedere ai dati personali e ai
trattamenti e per mantenere la propria conoscenza specialistica
(es. aggiornamento professionale).
Responsabile della protezione dei dati
E’ “dotato di indipendenza”.
E’ tenuto al segreto o alla riservatezza in merito
all'adempimento dei propri compiti.
Può svolgere altri compiti e funzioni purché non diano
adito a un conflitto di interessi.
È tenuto a:
informare e fornire consulenza al Titolare del trattamento o al Responsabile del trattamento e ai dipendenti che eseguono il trattamento in merito agli obblighi privacy;
sorvegliare l'osservanza della normativa privacy e le politiche del Titolare del trattamento o del Responsabile del trattamento in materia di protezione dei dati personali, compresi l'attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo;
fornire, se richiesto, un parere in merito alla valutazione d'impatto sulla protezione dei dati e sorvegliarne lo svolgimento;
cooperare con l’Autorità di controllo e fungere da punto di contatto con il Garante per questioni connesse al trattamento.
Il Responsabile della protezione dei dati
NON è RESPONSABILE
in caso di inosservanza della normativa privacy.
Il GDPR chiarisce che spetta al Titolare o al Responsabile
del trattamento garantire ed essere in grado di
dimostrare che le operazioni di trattamento sono
conformi alle disposizioni del regolamento. L’onere di
assicurare il rispetto della normativa in materia di
protezione dei dati ricade sul TITOLARE o sul
RESPONSABILE.
Responsabile della protezione dei dati - interno
Nel caso in cui si opti per un Responsabile della protezione dei
dati interno, sarebbe preferibile che – ove la struttura
organizzativa lo consenta e tenuto conto della complessità dei
trattamenti – la designazione sia conferita a un dirigente ovvero
a un funzionario di alta professionalità, che possa svolgere le
proprie funzioni in autonomia e indipendenza nonché in
collaborazione diretta con il vertice dell’organizzazione.
È necessario un apposito atto di designazione.
Responsabile della protezione dei dati - esterno
Nel caso in cui si opti per un Responsabile della protezione dei
dati esterno, le funzioni saranno esercitate sulla base di un
contratto di servizi stipulato con una persona fisica o giuridica.
Se la funzione di DPO è svolta da un fornitore esterno di servizi,
i compiti stabiliti per il DPO potranno essere assolti da un team
operante sotto l’autorità di un contatto principale designato e
responsabile per il singolo cliente. In tal caso, è indispensabile
che ciascun soggetto appartenente al fornitore esterno operante
quale DPO soddisfi tutti i requisiti applicabili come fissati nel
GDPR.
Per la scelta del DPO è necessario avviare una procedura ad
evidenza pubblica (valore dell’affidamento, requisiti, etc.)
Privacy by design
Tutte le attività, i prodotti ed i servizi che comportano il
trattamento di dati personali devono essere sin dall’inizio
progettati, impostati e sviluppati in modo da assicurare il
rispetto dei principi e delle garanzie a tutela della Privacy.
L’introduzione di questo concetto ha lo scopo di garantire la
tutela dei dati personali in ogni fase del ciclo di gestione
dell’informazione che va dalla raccolta alla cancellazione.
Privacy by default
Il titolare del trattamento deve mettere in atto misure tecniche e
organizzative adeguate per garantire che siano trattati per
impostazione predefinita solo i dati personali necessari al
perseguimento delle finalità prefissate ed alla base della loro
raccolta.
Consegue il c.d. principio di necessità: quantità dei dati
raccolti, portata del trattamento, periodo di conservazione
ed accessibilità.
Una novità degli ultimi giorni è:
• la sentenza del TAR Friuli Venezia Giulia (n. 135
del 13 settembre 2018) che ha affermato il principio
della non obbligatorietà (e oseremmo dire superfluità)
delle certificazioni per svolgere questa delicata
funzione, sottolineandone la necessaria competenza
anche in ambito giuridico. Il DPO – giova ricordarlo –
è una funzione che deve avere forti caratteristiche di
multidisciplinarietà per occuparsi di ambiti così
diversi e complessi.
I principali adempimenti per la PA
Diritti degli interessati
• Revisione e integrazione delle informative
• Revisione delle modalità con cui gli
interessati esprimono il consenso
Valutazione d’impatto sulla
protezione dei dati è necessaria
Art. 35:
quando un tipo di trattamento può presentare un rischio elevato
per i diritti e le libertà delle persone fisiche.
Il titolare del trattamento effettua, prima di procedere al
trattamento, una valutazione dell'impatto dei trattamenti
previsti sulla protezione dei dati personali.
Il regolamento europeo prevede
che…
L'autorità di controllo redige e rende pubblico un elenco
delle tipologie di trattamenti soggetti al requisito di una
valutazione d'impatto sulla protezione dei dati.
L'autorità di controllo può inoltre redigere e rendere
pubblico un elenco delle tipologie di trattamenti per le
quali non è richiesta una valutazione d'impatto sulla
protezione dei dati
La valutazione contiene almeno:
a) una descrizione sistematica dei trattamenti previsti e delle finalità
del trattamento, compreso, ove applicabile, l'interesse legittimo
perseguito dal titolare del trattamento;
b) una valutazione della necessità e proporzionalità dei trattamenti in
relazione alle finalità;
c) una valutazione dei rischi per i diritti e le libertà degli interessati
di cui al paragrafo 1;
d) le misure previste per affrontare i rischi, includendo le garanzie, le
misure di sicurezza e i meccanismi per garantire la protezione
dei dati personali e dimostrare la conformità al presente
regolamento, tenuto conto dei diritti e degli interessi legittimi
degli interessati e delle altre persone in questione.
Il Garante…
• Ha predisposto un elenco delle tipologie di trattamento (ai
sensi dell’art. 35, par. 4 del GDPR) da sottoporre a
valutazione di impatto.
• L’elenco è stato pubblicato il 15 novembre 2018 ed è in corso
di pubblicazione sulla GU.
• In esso rientrano, per esempio: trattamenti che comportano la
profilazione degli interessati; trattamenti automatizzati
finalizzati ad assumere decisioni che producono effetti
giuridici (screening dei clienti di una banca attraverso l’utilizzo
di dati registrati in una centrale di rischio)
L’esito della valutazione d’impatto sulla
protezione dei dati :
dovrebbe essere preso in considerazione nella determinazione delle
opportune misure da adottare per dimostrare che il trattamento
dei dati personali rispetta il regolamento.
Laddove la valutazione d'impatto indichi che i trattamenti
presentano un rischio elevato che il titolare del trattamento non
può attenuare mediante misure opportune in termini di
tecnologia disponibile e costi di attuazione, prima del
trattamento si dovrebbe consultare l'autorità di controllo.
Adempimenti per la sicurezza dei dati
(Art. 32, par. 1)Tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della
natura, dell'oggetto, del contesto e delle finalità del trattamento,
come anche del rischio di varia probabilità e gravità per i diritti e le
libertà delle persone fisiche, il titolare del trattamento e il
responsabile del trattamento mettono in atto misure tecniche e
organizzative adeguate per garantire un livello di sicurezza
adeguato al rischio, che comprendono, se del caso:
a) la pseudonimizzazione e la cifratura dei dati personali;
b) la capacità di assicurare su base permanente la riservatezza, l'integrità, la disponibilità
e la resilienza dei sistemi e dei servizi di trattamento;
c) la capacità di ripristinare tempestivamente la disponibilità e l'accesso dei dati
personali in caso di incidente fisico o tecnico;
d) una procedura per testare, verificare e valutare l'efficacia delle misure tecniche e
organizzative al fine di garantire la sicurezza del trattamento.
Adempimenti per la sicurezza dei dati
Art. 32, par. 2 e 4:
Nel valutare l'adeguato livello di sicurezza, si tiene conto dei rischi
presentati dal trattamento che derivano dalla distruzione, dalla
perdita, dalla modifica, dalla divulgazione non autorizzata o
dall'accesso, in modo accidentale o illegale, a dati personali
trasmessi, conservati o comunque trattati.
Il titolare del trattamento e il responsabile del trattamento fanno
in modo che chiunque agisca sotto la loro autorità e abbia
accesso a dati personali non tratti tali dati se non è istruito in tal
senso dal titolare del trattamento, salvo che lo richieda il diritto
dell'Unione o degli Stati membri.
Consultazione preventiva
dell’Autorità di controllo
Il titolare del trattamento, prima di procedere al trattamento,
consulta l'autorità di controllo qualora la valutazione
d'impatto sulla protezione dei dati a norma indichi che il
trattamento presenterebbe un rischio elevato in assenza di
misure adottate dal titolare del trattamento per attenuare il
rischio
Registro delle attività di trattamento
Ogni titolare e responsabile (esterno) del trattamento tiene un
registro delle attività di trattamento svolte sotto la propria
responsabilità
Registro delle attività di trattamentoArt. 30, par. 1: Il Registro contiene tutte le seguenti informazioni:
a) il nome e i dati di contatto del titolare del trattamento e, ove applicabile, del
contitolare del trattamento, del rappresentante del titolare del trattamento e del
responsabile della protezione dei dati;
b) le finalità del trattamento;
c) una descrizione delle categorie di interessati e delle categorie di dati personali;
d) le categorie di destinatari a cui i dati personali sono stati o saranno comunicati,
compresi i destinatari di paesi terzi od organizzazioni internazionali;
e) ove applicabile, i trasferimenti di dati personali verso un paese terzo o
un'organizzazione internazionale;
f) ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie
di dati;
g) ove possibile, una descrizione generale delle misure di sicurezza tecniche e
organizzative
Violazione dei dati personali o «Data
breach» (art. 4, par. 1)
la violazione di sicurezza che comporta accidentalmente
o in modo illecito la distruzione, la perdita, la modifica,
la divulgazione non autorizzata o l'accesso ai dati
personali trasmessi, conservati o comunque trattati
(Considerando 85)
Adempimenti – Data breach
Il titolare del trattamento – in caso di violazione dei dati
personali – ha l’obbligo di notificare all’Autorità di controllo
competente senza ingiustificato ritardo e, ove possibile, entro 72
ore dal momento in cui ne è venuto a conoscenza, a meno che
sia improbabile che la violazione dei dati personali presenti un
rischio per i diritti e le libertà delle persone fisiche.
Obbligo di documentare qualsiasi violazione dei dati
personali, comprese le circostanze a essa relative, le sue
conseguenze e i provvedimenti adottati per porvi rimedio
Obbligo di comunicare la violazione all'interessato senza
ingiustificato ritardo quando la violazione dei dati personali è
suscettibile di presentare un rischio elevato per i diritti e le
libertà delle persone fisiche.
Adempimenti – Data breach
La notifica deve almeno:
a) descrivere la natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati in questione nonché le categorie e il numero approssimativo di registrazioni dei dati personali in questione;
b) comunicare il nome e i dati di contatto del responsabile della protezione dei dati o di altro punto di contatto presso cui ottenere più informazioni;
c) descrivere le probabili conseguenze della violazione dei dati personali;
d) descrivere le misure adottate o di cui si propone l'adozione da parte del titolare del trattamento per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi.
Codici di condotta
Codici di condotta
Gli Stati membri, le autorità di controllo, il comitato e la
Commissione incoraggiano l'elaborazione di codici di condotta
destinati a contribuire alla corretta applicazione del
regolamento, in funzione delle specificità dei vari settori di
trattamento e delle esigenze specifiche delle micro, piccole e
medie imprese.
Mezzi di ricorso, responsabilità e
sanzioni
Diritto al risarcimento del danno:
Art. 82, par. 1:
Chiunque subisca un danno materiale o immateriale
causato da una violazione della privacy ha il diritto
di ottenere il risarcimento del danno dal titolare del
trattamento o dal responsabile del trattamento.
Diritto al risarcimento del danno:
Art. 82, par. 2 e 3:
Un titolare del trattamento coinvolto nel trattamento rispondeper il danno cagionato.
Un responsabile del trattamento risponde per il danno causatodal trattamento solo se non ha adempiuto gli obblighi delregolamento specificatamente diretti ai responsabili deltrattamento o ha agito in modo difforme o contrario rispetto allelegittime istruzioni del titolare del trattamento.
Il titolare del trattamento o il responsabile del trattamento èesonerato dalla responsabilità se dimostra che l'evento dannosonon gli è in alcun modo imputabile.
Responsabilità erariale:
Sussiste Responsabilità erariale in tutti i casi in cui le nuove
tecnologie sono utilizzate in modo scorretto: basti pensare
alla mancata adozione delle cautele di sicurezza previste
dalla normativa in materia di riservatezza di dati personali
che abbia determinato un risarcimento al privato
danneggiato, oppure l’assenza di procedure di controllo che
abbia determinato un danno diretto alle casse dell’Ente.
(Corte dei conti, Toscana, 26 aprile 2006, n. 265)
Sistema sanzionatorio
molto più rigido rispetto a quello previsto dal
Codice privacy.
In particolare:
- Sanzioni amministrative fino a 20 milioni di euro;
- Responsabilità civile nei confronti dell’interessato che subisca un danno materiale o immateriale causato da una violazione del GDPR;
- Eventuali sanzioni penali possono essere previste dal legislatore nazionale.
Sistema sanzionatorio
fino a 20 milioni di euro, se la violazione riguarda disposizioni in materia di:
- Principi di base del trattamento, comprese le condizioni relative al consenso;
- Diritti degli interessati
- Trasferimenti di dati personali a un destinatario in un paese terzo o un’organizzazione internazionale
- Inosservanza di un ordine, di una limitazione provvisoria o definitiva di trattamento o di un ordine di sospensione dei flussi di dati dell’autorità di controllo
Sistema sanzionatorio
fino a 10 milioni di euro, se la violazione riguarda
disposizioni in materia di:
- Obblighi del titolare del trattamento e del responsabile del
trattamento
- Obblighi dell’organismo di certificazione
- Obblighi dell’organismo di controllo
Le sanzioni devono essere:Effettive, proporzionate e dissuasive.
Esse sono inflitte dall’autorità di controllo, in funzione delle circostanze di
ogni singolo caso e dei seguenti elementi:
a) la natura, la gravità e la durata della violazione tenendo in considerazione la
natura, l'oggetto o a finalità del trattamento in questione nonché il numero di
interessati lesi dal danno e il livello del danno da essi subito;
b) il carattere doloso o colposo della violazione;
c) le misure adottate dal titolare del trattamento o dal responsabile del
trattamento per attenuare il danno subito dagli interessati;
d) il grado di responsabilità del titolare del trattamento o del responsabile del
trattamento tenendo conto delle misure tecniche e organizzative da essi
messe in atto;
e) eventuali precedenti violazioni pertinenti commesse dal titolare del
trattamento o dal responsabile del trattamento;
Segue:f) il grado di cooperazione con l'autorità di controllo al fine di porre rimedio
alla violazione e attenuarne i possibili effetti negativi;
g) le categorie di dati personali interessate dalla violazione;
h) la maniera in cui l'autorità di controllo ha preso conoscenza della violazione,
in particolare se e in che misura il titolare del trattamento o il responsabile
del trattamento ha notificato la violazione;
i) qualora siano stati precedentemente disposti provvedimenti, nei confronti del
titolare del trattamento o del responsabile del trattamento in questione
relativamente allo stesso oggetto, il rispetto di tali provvedimenti;
j) l'adesione ai codici di condotta o ai meccanismi di certificazione;
k) eventuali altri fattori aggravanti o attenuanti applicabili alle circostanze del
caso, ad esempio i benefici finanziari conseguiti o le perdite evitate,
direttamente o indirettamente, quale conseguenza della violazione.
Il decreto legislativo n. 101/18
• All’art. 22, comma 13 del D.lgs. 101/2018 si legge: “Per i primi otto mesi dalla data di entrata in vigore del presente decreto, il Garante per la protezione dei dati personali tiene conto, ai fini dell’applicazione delle sanzioni amministrative e nei limiti in cui risulti compatibile con le disposizioni del Regolamento (UE) 2016/679, della fase di prima applicazione delle disposizioni sanzionatorie.”
• Ciò sta a significare che il Garante per i primi otto mesi sarà più “clemente” nell’erogare le sanzioni, operando una valutazione di tanti fattori, come peraltro era stato già indicato nelle Linee guida del Comitato europeo (ex WP29) del 3 ottobre 2017.
Il decreto legislativo n. 101/18
• Conferma che le sanzioni derivanti da comportamenti illeciti
verificatisi prima del 25 maggio 2018, a richiesta
dell’interessato, possono essere ridotte a 2/5 del minimo
edittale stabilito dal D.lgs. 196/2003.
• L’intento, evidente, è di abbattere completamente o in gran
parte, il contenzioso in essere e riveniente da sanzioni elevate
prima dell’entrata in vigore del Regolamento europeo.
Il decreto legislativo 101/2018
• Salva i codici di condotta (ora rinominati “Regole
deontologiche”), contenuti nell’Allegato A del “vecchio”
Codice Privacy, che dovranno essere riveduti e corretti alla luce
delle norme europee e riproposti all’esame del Garante che, se
ritenuti conformi al Regolamento, le approverà.
• Stessa sorte spetterà alle autorizzazioni generali relative alle
situazioni di trattamento di cui agli articoli 6, paragrafo 1,
lettere c) ed e), 9, paragrafo 2, lettera b) e 4, nonché al Capo
IX del regolamento (UE) 2016/679.
Il decreto legislativo 101/2018
• Per quanto riguarda il regime sanzionatorio, per il principio
penalistico del favor rei, il decreto “sostituisce” le sanzioni
penali previste dal Codice privacy con le sanzioni
amministrative previste dal Regolamento europeo, anche
riguardo a violazioni commesse anteriormente alla data di
entrata in vigore del decreto stesso e sempre che il
procedimento penale non sia stato definito con sentenza o con
decreto divenuti irrevocabili.
Cosa dobbiamo fare?
Mappatura completa (pur se
generica) del modus operandi :
• lettere di nomina degli incaricati e degli amministratori di sistema;
• clausole contrattuali con gli eventuali responsabili (esterni) del trattamento;
• informative (dipendenti, clienti, utenti/pazienti ecc.);
• modelli di consenso;
• DPS se adottato e mantenuto aggiornato;
• policy e/o regolamenti interni in materia di trattamento dei dati personali;
• registri/elenchi hardware e software;
• eventuali procedure certificate
• etc.
Il Registro del trattamento…
• deve considerato come un documento vivo, da tenere
sempre aggiornato. La mappatura all’inizio potrà
concentrarsi solo su ciò che obbligatoriamente l’art. 30
prevede ma poi potrà via via ricomprendere tanti altri
elementi utili per illustrare tutti i trattamenti sviluppati
dalla struttura di riferimento, in modo da procedere con
un approccio reale di accountability.
Occorre quanto meno:
• censire tutti i trattamenti di dati personali effettuati, tramite interviste con i responsabili dei vari processi amministrativi;
• individuare gli eventuali trasferimenti di dati personali verso paesi extra UE e verificare il rispetto delle disposizioni di cui agli artt. da 44 a 49 del GDPR;
• raccogliere tutte le informazioni e la documentazione necessaria per la compilazione del registro dei trattamenti (es. applicazioni, servizi esternalizzati, sistemi di controllo dei dati, sistemi di log retention ecc.);
• impostare il registro dei trattamenti e compilare le parti per le quali si è già in possesso delle necessarie informazioni.
sulla base dei risultati dell’analisi
si potrà cominciare a:
• definire i contenuti dell’accordo con gli eventuali contitolari;
• individuare, dopo aver verificato il possesso dei requisiti previsti dall’art. 28 del GDPR, i responsabili del trattamento e definire i contenuti vincolanti del contratto o altro atto giuridico;
• individuare gli eventuali referenti interni per la gestione delle politiche aziendali in materia di protezione dei dati personali;
• definire un sistema di controlli periodici (audit) che consentano il costante monitoraggio del livello di compliance con il GDPR;
• definire un piano formativo su più livelli di competenze.
A fronte dei gap rilevati si
procede a:
• aggiornare la documentazione esistente per renderla
conforme al GDPR (es. informative, moduli di consenso,
eventuali accordi con contitolari, eventuali contratti o altri atti
giuridici con i responsabili esterni, policy aziendali);
• predisporre la documentazione mancante.
Dopo la mappatura sarà necessario (ex
art. 24 e 32 del GPPR):• individuare i possibili ambiti di rischio che dovranno essere oggetto
di valutazione;
• definire la metodologia di analisi dei rischi più adatta alla realtà organizzativa con particolare riferimento ai sistemi informativi;
• analizzare (per ogni trattamento o per trattamenti simili) sia i rischi connessi ai trattamenti effettuati senza l’utilizzo di strumenti elettronici, che quelli relativi alla configurazione dei sistemi informativi e ai software utilizzati;
• censire le attuali misure di sicurezza organizzative, fisiche e logiche;
• definire le misure di sicurezza necessarie a ridurre il rischio entro un livello di accettabilità (es. pseudonimizzazione, cifratura ecc.);
• verificare tutti gli applicativi adottati e da adottare e avviare politiche di controllo in linea con i principi di privacy by design e privacy by default (art. 25 GDPR).
Sarà necessario concentrarsi anche sulle
possibili violazioni nel trattamento di dati
personali (art. 33 e 34 GDPR):
• definire e integrare le procedure di incidentmanagement per la gestione dei data breach, in modo da ridurre il più possibile il termine che intercorre tra la violazione e il momento in cui ci si accorge della violazione
• implementare un sistema di file log che consenta la raccolta di tutte le necessarie informazioni a supporto delle violazioni e delle opportune indagini sottostanti;
• impostare il registro delle violazioni;
• definire la modulistica per le notificazioni all’autorità di controllo e le comunicazioni agli interessati.
In base al principio di accountability sarà
indispensabile (ex art. 35 del GDPR):
• individuare, i trattamenti per i quali è necessario effettuare la valutazione d’impatto (vedere elenco Garante);
• individuare la metodologia più appropriata da utilizzare per la valutazione d’impatto;
• effettuare la valutazione d’impatto per singoli trattamenti (o per gruppi simili che presentano rischi analoghi) nonché le necessarie misure tecniche ed organizzative per attenuarli;
• predisporre e conservare la documentazione relativa alla DPIA (Data Privacy Impact Assessment);
• definire le modalità per il monitoraggio e l’eventuale revisione della DPIA
Considerato che il GDPR ha reso
più cogenti gli obblighi del titolare, rafforzando il contesto di garanzie e procedure da osservare nel rapporto con gli interessati (prevedendo
le sanzioni più elevate in caso di loro violazione), è necessario:
• implementare le procedure finalizzate ad agevolare l’esercizio dei diritti da parte degli interessati;
• adottare le misure organizzative e tecniche che consentano di rispettare i termini previsti dall’art. 12 del GDPR;
• definire le politiche di data retention;
• dotarsi di un DPO.Fonte: Gdpr, kit di sopravvivenza per “consulenti privacy” in www.agendadigiatle.eu
Per concludere…
• l’aspetto oggi più importante per applicare la normativa
(che rimane prima di tutto europea) è conoscersi in
trasparenza e dimostrare di aver provato a mappare con
serietà la propria situazione per avviare un percorso sostanziale
e non solo formale di adeguamento. Per farlo, ci possono
volere settimane, mesi o addirittura anni a seconda
dell’organizzazione di riferimento.
L’adeguamento alla normativa
europea
• è un percorso complesso che ha un avvio, ma che poi
deve andare avanti con costanza, senza mai terminare
del tutto.
• Uno studio approfondito e serio della normativa e
della propria organizzazione rimane la migliore
soluzione per mettersi in regola